Guía Completa para Detectar Rootkits con RKHunter y Chkrootkit

¿Por qué son tan peligrosos los rootkits?

A diferencia de otros tipos de malware más visibles, un rootkit puede pasar semanas o meses operando sin ser detectado, robando información confidencial, registrando pulsaciones de teclado o usando tu servidor como parte de una red de bots, todo mientras el sistema parece funcionar con total normalidad. Esa capacidad de ocultamiento es precisamente lo que hace indispensable un escaneo periódico con herramientas especializadas.

Paso 1: Instalar RKHunter

En distribuciones basadas en Debian/Ubuntu:

sudo apt update
sudo apt install rkhunter -y

En distribuciones basadas en Red Hat/CentOS:

sudo yum install epel-release -y
sudo yum install rkhunter -y

Paso 2: Instalar Chkrootkit

En distribuciones basadas en Debian/Ubuntu:

sudo apt install chkrootkit -y

En distribuciones basadas en Red Hat/CentOS:

sudo yum install chkrootkit -y

Actualizar las bases de datos de firmas de RKHunter

Antes del primer escaneo, actualiza las bases de datos de firmas conocidas y genera una línea base de los archivos del sistema:

sudo rkhunter --update
sudo rkhunter --propupd

El comando --propupd es especialmente importante: crea una "foto" de referencia de los archivos del sistema en su estado actual (asumiendo que está limpio), para que futuros escaneos puedan detectar cambios sospechosos comparando contra esta línea base.

Realizar un escaneo completo con RKHunter

sudo rkhunter --checkall

Este comando revisa binarios del sistema, módulos del kernel, puertos de red sospechosos y firmas conocidas de rootkits. Si ves varias advertencias marcadas como [ Warning ], no entres en pánico de inmediato: muchas corresponden a falsos positivos, especialmente en sistemas con configuraciones no estándar. Revisa cada advertencia con calma antes de concluir que hay un compromiso real.

Revisar el registro detallado de resultados

RKHunter guarda un log detallado de cada escaneo que puedes consultar en cualquier momento:

cat /var/log/rkhunter.log

Este archivo es útil para investigar advertencias específicas con más contexto del que se muestra en la salida resumida de la terminal.

Realizar un escaneo básico con Chkrootkit

sudo chkrootkit

Si la salida muestra INFECTED en algún elemento, tampoco es momento de asumir lo peor de inmediato: es una señal de alerta que requiere investigación adicional, no una confirmación automática de compromiso. Busca el nombre específico del hallazgo para determinar si es un falso positivo conocido o algo que amerita más investigación.

Escanear directorios específicos con Chkrootkit

Si necesitas enfocar el análisis en una ruta particular (por ejemplo, tras detectar actividad sospechosa en un directorio concreto):

sudo chkrootkit /ruta/directorio

Automatizar los escaneos con Cron

Para no depender de recordar ejecutar estos escaneos manualmente, prográmalos con Cron.

Escaneo automático con RKHunter todos los días a las 3:00 a.m.:

sudo crontab -e

0 3 * * * /usr/bin/rkhunter --checkall --quiet

Escaneo automático con Chkrootkit media hora después, a las 3:30 a.m.:

30 3 * * * /usr/sbin/chkrootkit

La bandera --quiet en RKHunter reduce la salida solo a hallazgos relevantes, ideal para que los reportes automáticos por correo no se saturen de información innecesaria.

Qué hacer si confirmas un compromiso real

Si tras investigar una advertencia confirmas que efectivamente hay un rootkit activo, las acciones recomendadas son:

• Aísla el servidor de la red inmediatamente para evitar que el atacante siga operando o se mueva lateralmente.
• No confíes en el sistema comprometido para investigar: usa un medio de arranque externo o herramientas forenses desde otro equipo.
• Restaura desde un backup previo al compromiso, si está disponible, en lugar de intentar "limpiar" un sistema comprometido, ya que los rootkits suelen dejar puertas traseras adicionales difíciles de detectar por completo.
• Cambia todas las credenciales asociadas al servidor comprometido, incluyendo llaves SSH y contraseñas de bases de datos.